cPanel 和 WHM 軟體中存在雙因素身份驗證繞過漏洞

cPanel是管理web托管的流行管理工具的提供商，它修補了一個安全漏洞，該漏洞可能允許遠端攻擊者通路有效憑據，繞過帳戶的兩因素身份驗證（2FA）保護。

該問題被稱為“seco -575”，由Digital Defense研究人員發現，該公司在軟體的11.92.0.2、11.90.0.17和11.86.0.32版本中對其進行了修複。

cPanel和WHM（Web主機管理器）提供了一個基于Linux的控制台，供使用者處理網站和伺服器管理，包括添加子域、執行系統和控制台維護等任務。到目前為止，使用cPanel的軟體套件在伺服器上啟動了超過7000萬個域。

該問題源于在登入期間2FA缺乏速率限制，進而使得攻擊者能夠使用暴力方法反複送出2FA代碼并繞過身份驗證檢查。

Digital Defense研究人員表示，這種攻擊可以在幾分鐘内完成。

“雙因素身份驗證cPanel安全政策沒有阻止攻擊者重複送出雙因素身份驗證代碼，”cPanel表示，“這使得攻擊者能夠使用暴力技術繞過雙因素身份驗證檢查。”

為了解決這個問題，該公司在cPHulk蠻力保護服務中加入了速率限制檢查，如果2FA代碼驗證失敗，就會被視為登入失敗。

通過釋出以下内部版本解決了此問題：

11.92.0.2

11.90.0.17

11.86.0.32